PT-2026-67335
CVE-2026-68582
·
تاريخ النشر
2026-08-02
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Vikunja من 0.24.0 إلى 2.3.0
الوصف
توجد مشكلة في ترخيص مستوى الكائن (BOLA) في نقطة نهاية مجموعة المهام ’GET /api/v1/projects/{project}/views/{view}/tasks‘. يقوم النظام بتحميل عرض المشروع من مسار URL دون التحقق مما إذا كان المتصل مخولًا للوصول إليه. بالنسبة للمستخدمين الذين يمتلكون رمز مشاركة الرابط، وبينما يقتصر نطاق المهمة على المشروع المشترك، يتم استرداد العرض من المسار الذي يتحكم فيه المهاجم دون إعادة التحقق. وهذا يسمح لحامل رمز مشاركة الرابط بقراءة سجلات مجموعات كانبان من أي مستأجر في المثيل، بما في ذلك عناوين المجموعات وكائن المستخدم
created by الذي يحتوي على username وname وid. بالإضافة إلى ذلك، يؤدي عدم وجود تفويض مسبق إلى إنشاء «أوراكل الوجود» لمعرّفات المشاريع والعروض، مما يسمح للمستخدمين المصادق عليهم وحاملي رموز مشاركة الروابط بتحديد ما إذا كانت معرّفات معينة موجودة استنادًا إلى استجابة الخادم (404 مقابل غير 404). لا يتم الكشف عن محتويات المهام.التوصيات
التحديث إلى الإصدار 2.4.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾